e-Belge özel entegratör bilgi sistemleri denetimi: erişim ve log kontrolleri

GİB'in özel entegratörlere yönelik bilgi sistemleri denetimi (ÖEBSD), iki yılda bir bağımsız denetim firmalarınca yapılır. Yedi değerlendirme alanından ikisi, erişim güvenliği ve denetim izleri yönetimi, doğrudan sunuculara kimin nasıl eriştiği ve bunun nasıl kayda alındığıyla ilgilidir. Bu sayfa kılavuzun bu iki alanda istediklerini ve teknik kanıtın nereden geleceğini özetler.

Denetimin çerçevesi

• Kılavuz: e-Belge Özel Entegratörleri Bilgi Sistemleri Denetimi Kılavuzu, sürüm 1.0, 19.11.2019.
• Sıklık: İlk denetimden sonra iki yılda bir; denetim raporu en fazla iki yıl geçerlidir.
• Değerlendirme alanları: Fiziksel güvenlik, denetim izleri yönetimi, erişim güvenliği, iş sürekliliği ve risk yönetimi, değişiklik yönetimi, dış hizmet sağlayıcıların yönetimi ve hizmet yazılımı kontrolleri.
• Olumlu görüş: KPMG'nin özetine göre 208 kontrol maddesinin en az 166'sının etkin bulunması ve her değerlendirme sınıfında en az yüzde 70 olumlu sonuç gerekir.

Erişim güvenliğinde sorulanlar

• İki kişi kuralı: Yüksek riskli varlıklara erişimde en az iki yetkili kişinin aynı anda erişimi aranır.
• Tek kişiyle değişikliğin engellenmesi: "Tek yönetici erişimiyle veri ve uygulama değişikliği yapılmasını engelleyecek mekanizmalar kurulmuş mu?"
• Kötü niyetli içeriden kişi: İşten ayrılan veya kötü niyetli bir çalışanın bir sistemi tek başına devre dışı bırakamaması beklenir.
• Yetkilerin rolle uyumu: Erişim yetkileri personelin göreviyle uyumlu olmalı, yetkili kişilerin listesi güncel tutulmalıdır.
• Dış servis sağlayıcı erişimi: Üçüncü tarafların bakım erişimlerinde yeterli gözetim yapılması ve olay kayıtlarının tutulması gerekir.

Denetim izlerinde sorulanlar

• Neyin kaydedileceği: Sunucular, veritabanları, güvenlik duvarları, ağ cihazları, işletim sistemleri ve uygulamaların kayıtları; her kayıtta kim, ne yaptı, ne zaman, sonuç ve etkilenen veri.
• Saklama süresi: Denetim kayıtları en az 10 yıl saklanır.
• Bütünlük: Kayıtların değiştirilmesine karşı önlem alınmalı; ayrıcalıklı kullanıcılar bile kayıtları fark edilmeden değiştirememelidir.
• Değişiklik yönetimi: Bakım ve yamalar dahil, bilgi sistemlerindeki tüm donanım ve yazılım değişiklikleri prosedüre bağlı olmalıdır.

AdeGate hangi maddelerde teknik kanıt üretir?

• İki kişi kuralı ve tek kişiyle değişikliğin engellenmesi: Sunuculara RDP ve SSH, FortiGate VPN ve FortiGate yönetici girişleri ikinci bir kişinin, yöneticinin onayı olmadan açılmaz. Onay, oturuma erişimi kontrol eder; oturum içindeki her işlemi tek tek denetlemez.
• Dış servis sağlayıcı erişimi: Bakım yapacak firmanın girişi onaya bağlanır, süreli verilir ve kim onayladıysa kaydedilir.
• Yetkilerin rolle uyumu: Erişim gözden geçirme raporu kullanıcıları, son girişlerini ve uzun süredir kullanılmayan hesapları listeler; incelemeyi kimin onayladığını kaydeder (Pro ve Enterprise).
• Güvenlik duvarı değişiklik yönetimi: FortiGate'teki her yapılandırma değişikliği kullanıcı, arayüz ve değişen nesneyle kaydedilir; kritik değişikliklerde anında alarm verilir.
• Kayıt bütünlüğü: Değişiklik ve yönetici giriş kayıtları kriptografik zincirle birbirine bağlanır; geçmişteki bir kaydın silinmesi veya değiştirilmesi tespit edilir (Pro ve Enterprise).
• 10 yıllık saklama: AdeGate kayıtları plana göre 30, 180 veya 365 gün tutar. 10 yıllık saklama için kayıtlar syslog ile kurumun merkezi log arşivine iletilir (Pro ve Enterprise).

İlgili: RDP bağlantı onay sistemi, FortiGate değişiklik takibi ve ISO 27001 teknik kanıt rehberi.

Sık sorulanlar